Gli utenti hanno preso d'assalto Mega e il servizio non ha retto l'enorme traffico, così Kim Dotcom ha dovuto chiedere pubblicamente scusa su Twitter, ma ha anche promesso che nel giro di un paio di giorni tutto tornerà alla normalità.
Piccoli e prevedibili problemi, trascurabili effetti collaterali del successo. Più preoccupanti invece le critiche mosse al sistema crittografico di Mega, che risiede interamente sui server. La prima criticità è che la password stabilità dall'utente è un dato unico. Chi se la dimentica perde l'accesso all'account e ai dati che contiene per sempre. Questo tuttavia non è implicitamente un difetto, tutt'al più una seccatura. Anche perché secondo i rappresentanti di Mega arriverà presto una procedura per modificare la password – ma non per recuperarla in caso di smarrimento, a quanto ne sappiamo.
Più serie invece le critiche mosse da alcuni specialisti al sistema crittografico di Mega. "Quando si tratta di crittografia, sembra che non abbiano nessuna esperienza", ha dichiarato a Forbes Nadim Kobeissi (creatore di Cryptocat), "Francamente, sembra una cosa che avrei potuto scrivere io nel 2011 da ubriaco".
Per esempio, il codice sul sito potrebbe cambiare a insaputa dell'utente, ed esporci al furto di dati personali. Kobeissi afferma che a fare un'azione del genere potrebbero essere le stesse autorità statunitensi, visto che Mega ha server anche negli USA. Potrebbero semplicemente obbligare gli amministratori a disabilitare la crittografia per esaminare legalmente i file.
C'è poi il problema della connessione SSL usata dal browser per collegarsi a Mega; anche questa potrebbe cedere a un attacco e rivelare le informazioni personali che stiamo trasmettendo. "La sicurezza della crittografia basata su Javascript si riduce alla sicurezza del canale di trasmissione, ogni volta che si visita la pagina. In questo caso una connessione SSL", ha infatti aggiunto Moxie Marlinspike, ex dirigente della sicurezza per Twitter.
Secondo Bram van der Kolk (cofondatore di Mega), esiste un sistema di verifica Javascript che sarebbe capace di controllare l'autenticità dei comandi che raggiungono il server, ma Matthew Green (docente, Università John Hopkins) la ritiene un'affermazione priva di senso: senza un qualche software installato localmente sul computer dell'utente non ci sono controlli possibili, perché l'unico strumento a disposizione sarebbe altro JavaScript di origine non verificata. "Serve qualcosa di affidabile sulla macchina dell'utente per controllare il JavaScript, e non ce l'hanno".
A peggiorare le cose, sembra che almeno un server SSL di Mega usino crittografia a 1024 bit, e non la più solida 2048 bit, considerata uno standard da circa dieci anni (ma più costosa in termini di risorse necessario). Si è poi detto che il metodo per generare i valori mancherebbe di entropia, ma ancora van der Kolk ha contestato tale affermazione.
Ci sarebbero altre critiche, o almeno dubbi, minori espressi anche da altri osservatori, come gli esperti consultati da Ars Technica – ma la lista è già piuttosto lunghetta. Molte voci che dicono in coro: Mega non è sicuro come dicono.
Un brutto colpo per Kim Dotcom, che puntava proprio sulla sicurezza come uno dei maggiori pregi di Mega. Il fondatore del sito più famoso della Nuova Zelanda ha promesso risposte in giornata, ma non sono ancora arrivate. D'altra parte deve anche occuparsi dei produttori cinematografici, che hanno già etichettato Mega come nuova Centrale Pirata, e anche che Kim Dotcom "ha costruito la propria fortuna sul furto".